宝塔面板多站点防跨站入侵加固：独立站安全必做操作

跨境独立站通常会在同一台服务器上部署多个站点，如果其中一个站点被植入恶意脚本，攻击者可能利用跨站漏洞读取其他站点的数据库配置文件或敏感数据。
这篇文章讲的就是如何用宝塔面板自带功能和一些简单配置，把每个站点隔离开来，即使一个站点沦陷，也不会影响其他独立站。
操作过程不复杂，零基础用户跟着做就能完成。

检查当前环境与准备前置条件

在开始加固前，先确认几件事：

• 登录宝塔面板，确保面板和所有已安装的软件（尤其是 Nginx 和 PHP）都升级到最新稳定版。旧版本可能存在已知漏洞。
• 查看当前服务器上有多少个站点：在宝塔面板左侧菜单点击“网站”，记下所有正在运行的站点域名和根目录路径。
• 确定每个站点的 PHP 版本。不同站点可以使用不同 PHP 版本，这本身也是一种隔离手段。建议统一使用 PHP 7.4 或 8.1 以上版本，并关闭不再使用的低版本 PHP。
• 准备一个用于验证的小测试文件：后面需要用它来测试隔离是否生效。

核心加固：开启防跨站攻击开关

宝塔面板为每个站点提供了一个“防跨站攻击”开关，这是最直接有效的隔离方式。

1. 在宝塔面板左侧菜单点击“网站”，进入站点列表。
2. 找到你要加固的站点，点击右侧的“设置”按钮。
3. 在弹出的窗口中，切换到“站点修改”选项卡（或直接看到“防跨站攻击”选项）。
4. 把“防跨站攻击”开关从“关闭”拨到“开启”状态，并点击“保存”按钮。

这个操作实际上是在站点的根目录下自动生成一个 .user.ini 文件，内容类似：

open_basedir=/www/wwwroot/example.com/:/tmp/

它的作用是限制 PHP 脚本只能访问该站点根目录和系统临时目录，无法读取其他站点的文件。
每个站点都要重复执行这一步。

进阶防护：手动调整权限与禁用危险函数

开启面板开关之后，还可以再补充几项配置来加固：

1. 调整站点目录权限

默认宝塔站点目录权限为 755（目录）和 644（文件），这已经相对安全。
但为了更严格，可以对每个站点单独设置更低的权限，例如：

• 将站点根目录的所有者改为新的系统用户（但宝塔默认所有站点共用 www 用户，因此这一步不是强隔离）。更好的做法是使用 PHP-FPM 的“用户组隔离”：在站点设置里，将“运行用户”改为单独的系统用户。如果你熟悉 Linux 用户管理，可以新建用户并分配，新手建议保持默认。

2. 禁用危险函数

在站点设置中找到“PHP 版本”旁边的“禁用函数”设置（通常在“网站”-> 选择站点 -> “PHP 版本”->“禁用函数”）。
点击“添加”，填入以下常用危险函数：

exec,shell_exec,system,passthru,popen,proc_open,pcntl_exec

这些函数如果被恶意脚本调用，可能执行系统命令。
禁用后能有效降低风险。

3. 关闭不必要的服务端口

如果服务器上只运行 Nginx、PHP 和数据库，可以关闭其他端口的公网访问。
在宝塔面板“安全”菜单中，检查哪些端口对外开放，非必要（如 21 FTP、3306 数据库远程）建议只允许本地 IP 或关闭。

避坑指南：常见问题与恢复方法

• 开启防跨站攻击后网站出现500错误：通常是某些 CMS（如 WordPress）的伪静态规则与 open_basedir 冲突。解决办法：在站点根目录下的 .user.ini 文件中，确认 open_basedir 路径包含 /tmp/ 和必要的缓存目录（例如 WordPress 的 wp-content/uploads）。也可以暂时关闭该功能，排查是否插件或主题调用了站外路径。
• 开启后无法上传文件：检查上传目录是否在 open_basedir 允许范围内。可以手动修改 .user.ini，例如增加 :/www/wwwroot/example.com/wp-content/uploads/。修改后重启 PHP 或等待几分钟生效。
• 多个站点共用同一个数据库：这本身不是跨站入侵的主要风险，但建议每个独立站使用独立的数据库账号，防止 SQL 注入横向移动。

效果验证：测试隔离是否生效

在任意一个站点下创建一个 PHP 文件，用来尝试读取另一个站点的文件：

1. 在站点 A 的根目录下新建 test.php，内容为：